DORA Regolamento IT Fornitori Banche 2025: Cosa Cambia Davvero

Un fornitore IT di una banca regionale mi ha chiamato a febbraio: ‘Siamo soggetti a DORA?’ Aveva 12 dipendenti e gestiva l’infrastruttura di tre istituti di credito. La risposta era sì. Questo scenario non è isolato. Molte piccole e medie imprese IT che operano nel settore finanziario si trovano a navigare un panorama normativo in rapida evoluzione, spesso senza piena consapevolezza degli impatti. Il Digital Operational Resilience Act (DORA), in vigore dal 17 gennaio 2025, non è l’ennesima direttiva burocratica: è un cambiamento radicale nel modo in cui banche, assicurazioni e i loro fornitori IT gestiscono il rischio cibernetico e la continuità operativa. L’obiettivo è rafforzare la resilienza operativa digitale del settore finanziario europeo, garantendo che le interruzioni ICT non compromettano la stabilità finanziaria.

DORA in vigore: chi è davvero soggetto al regolamento

La DORA estende il suo raggio d’azione ben oltre le istituzioni finanziarie direttamente regolamentate (banche, assicurazioni, fondi, ecc.). Il regolamento include espressamente i fornitori di servizi ICT di terze parti che offrono servizi a tali enti. Questo significa che se la tua azienda fornisce software, servizi cloud, connettività di rete, data center o qualsiasi altro servizio tecnologico che supporta le funzioni critiche di una banca o un’assicurazione, sei soggetto alla DORA. Non importa la dimensione della tua azienda: l’impatto critico del servizio fornito è il discriminante.

Secondo un’analisi del Financial Stability Board, gli incidenti cyber nel settore finanziario sono aumentati del 10% anno su anno nel 2024, con un costo medio di 18 milioni di euro per breach (FSB, 2025). La DORA mira a mitigare questi rischi.

I fornitori ICT sono classificati in ‘critici’ e ‘non critici’ a seconda dell’impatto potenziale che un loro fallimento potrebbe avere sull’ente finanziario. Questa classificazione è cruciale perché i fornitori critici saranno soggetti a un monitoraggio diretto da parte delle autorità europee (ESAs).

La catena delle responsabilità: dal CIO al fornitore cloud di terzo livello

Una delle innovazioni più significative della DORA è l’estensione della responsabilità. Gli enti finanziari non possono più delegare completamente il rischio operativo ICT ai loro fornitori. La responsabilità ultima rimane in capo all’ente finanziario, che deve assicurarsi che i propri fornitori rispettino gli stessi standard di resilienza. Ciò impatta direttamente i contratti di servizio (SLA) e richiede una due diligence continua.

Questo significa che il CIO o il CISO di una banca deve avere visibilità e controllo non solo sui fornitori diretti, ma anche sui sub-fornitori. Se il tuo servizio cloud si appoggia a un data center di terzi, anche quel data center rientra nella catena di responsabilità DORA. La mappatura della supply chain ICT diventa quindi un esercizio fondamentale.

Esempio di clausola contrattuale DORA-compliant che verrà richiesta:

contract_clauses:
  - clause_id: "DORA-ICT-001"
    description: "Obbligo di conformità al Regolamento DORA (UE) 2022/2554 per i servizi ICT forniti."
    requirements:
      - "Implementazione di un ICT Risk Management Framework conforme DORA."
      - "Notifica incidenti ICT gravi entro tempi stabiliti (4 ore)."
      - "Partecipazione a test di resilienza operativa digitale (es. penetration testing)."
      - "Diritto di accesso, ispezione e audit per l'ente finanziario o terze parti designate."
      - "Piani di exit strategy e portabilità dei dati in caso di cessazione del servizio."

ICT Risk Management: cosa devono documentare i fornitori

I fornitori di servizi ICT, soprattutto quelli critici, devono implementare un robusto framework di gestione del rischio ICT. Questo include l’identificazione, la classificazione, la protezione, il rilevamento, la risposta e il recupero dagli incidenti ICT. La DORA richiede una documentazione dettagliata di tutte queste attività, inclusi:

Policy e procedure per la gestione del rischio ICT.
Mappatura delle risorse ICT e delle dipendenze critiche.
Analisi di impatto (BIA) e valutazione dei rischi.
Piani di continuità operativa (BCP) e ripristino di emergenza (DRP) testati regolarmente.
Strategie di backup e ripristino dei dati.
Programmi di security awareness per il personale.

La mancanza di una documentazione adeguata può tradursi in non-conformità e sanzioni, oltre a compromettere la capacità di un’azienda di ottenere o mantenere contratti con enti finanziari. Un report PwC del 2024 indicava che solo il 35% delle PMI IT che servono il settore finanziario disponeva di un framework di rischio ICT maturo (PwC, 2024).

Incident reporting: le 4 ore che cambiano tutto

Questo è uno degli aspetti più stringenti della DORA. I fornitori di servizi ICT che rilevano un incidente grave devono notificarlo all’ente finanziario entro un massimo di 4 ore dalla rilevazione iniziale. Successivamente, sono richieste notifiche intermedie e una finale. Questo impone ai fornitori di avere sistemi di monitoraggio proattivi, team di risposta agli incidenti (CSIRT o SOC) disponibili 24/7 e processi di comunicazione chiari e rapidi.

Per gestire queste tempistiche, è fondamentale implementare soluzioni di SIEM/EDR che automatizzino il rilevamento e la correlazione degli eventi, oltre a playbook di risposta agli incidenti che guidino il team passo dopo passo. L’automazione è la chiave per rispettare i termini della DORA.

Esempio di pseudo-codice per un sistema di notifica automatica:

import datetime

def notify_dora_incident(incident_id, severity, description, affected_systems):
    timestamp = datetime.datetime.now()
    message = f"DORA Incident Notification - ID: {incident_id}, Severity: {severity}"
    message += f"\nDescription: {description}"
    message += f"\nAffected Systems: {', '.join(affected_systems)}"
    message += f"\nTimestamp: {timestamp}"

    # Log the incident internally
    log_incident(incident_id, message)

    # Send notification to financial entity (e.g., via API, secure email)
    send_secure_email(financial_entity_contact, "DORA Incident Alert", message)

    print(f"Incident {incident_id} notified to financial entity.")

# Example usage (triggered by SIEM alert)
# notify_dora_incident(
#     incident_id="DORA-2026-001",
#     severity="CRITICAL",
#     description="Major network outage affecting core banking services",
#     affected_systems=["CoreBanking-DB", "OnlineBanking-API"]
# )

Terze parti critiche: il problema delle supply chain IT

La DORA pone un’enfasi particolare sulla gestione delle terze parti critiche. Gli enti finanziari devono identificare queste terze parti, valutare i rischi associati e implementare misure di mitigazione adeguate. Per i fornitori ICT, questo significa aspettarsi audit, ispezioni e richieste di informazioni dettagliate sulla propria sicurezza e resilienza operativa.

Inoltre, la DORA richiede che i contratti con le terze parti critiche includano clausole specifiche che garantiscano il diritto dell’ente finanziario di monitorare la compliance, effettuare test e, se necessario, avviare piani di uscita. Questo impatta la negoziazione dei contratti e la necessità di una trasparenza senza precedenti sulla propria postura di sicurezza.

Come prepararsi se sei un fornitore ICT di enti finanziari

La conformità alla DORA non è un’opzione, ma un requisito per operare nel settore finanziario. Ecco i passi chiave per prepararsi:

Gap Analysis: Esegui una valutazione approfondita delle tue attuali capacità di gestione del rischio ICT, resilienza operativa e processi di incident response rispetto ai requisiti DORA.
Mappatura della Supply Chain: Identifica tutte le tue dipendenze da terze parti e sub-fornitori, valutando il loro livello di criticità.
Aggiornamento Contrattuale: Rivedi e aggiorna i tuoi contratti con gli enti finanziari e con i tuoi sub-fornitori per includere le clausole DORA-specifiche.
Framework di ICT Risk Management: Implementa o rafforza un sistema di gestione del rischio ICT robusto, documentando policy, procedure e controlli.
Incident Response: Sviluppa e testa piani di risposta agli incidenti, assicurandoti di poter rispettare i tempi di notifica di 4 ore. Investi in SIEM/EDR, automation e formazione del team.
Test di Resilienza: Partecipa attivamente ai test di resilienza operativa digitale richiesti dagli enti finanziari, inclusi penetration testing e stress test.
Formazione: Assicurati che tutto il personale rilevante sia formato sui requisiti DORA e sulle procedure di sicurezza ICT.

Errori comuni e troubleshooting

L’errore più comune che ho riscontrato è la sottovalutazione dell’impatto della DORA sulle piccole e medie imprese. Molti pensano che riguardi solo i giganti del cloud o le grandi banche. Invece, un piccolo fornitore di software che gestisce un’applicazione critica per la contabilità di una banca è ugualmente coinvolto.

Un altro errore è non integrare la DORA con altri regolamenti esistenti come il GDPR o la NIS2. Sebbene abbiano focus diversi, ci sono molte sinergie. Ad esempio, un buon piano di incident response per il GDPR può essere una base per quello DORA, ma con tempi più stringenti e requisiti specifici per gli incidenti ICT.

Troubleshooting: Se ti accorgi di essere in ritardo con la compliance, la prima azione è una gap analysis rapida e l’identificazione dei fornitori critici. Parallelamente, avvia un dialogo trasparente con i tuoi clienti finanziari per comprendere le loro aspettative e le tempistiche. Spesso è possibile definire un piano di remediation congiunto.

FAQ — Domande Frequenti

Qual è la differenza tra DORA e NIS2?

La NIS2 si applica a una gamma più ampia di settori e si concentra sulla sicurezza delle reti e dei sistemi informativi. La DORA è specifica per il settore finanziario e si concentra sulla resilienza operativa digitale, con requisiti più dettagliati per la gestione del rischio ICT, l’incident reporting e la gestione delle terze parti. Ci sono sovrapposizioni, ma la DORA è più prescrittiva per gli enti finanziari e i loro fornitori ICT.

La DORA si applica a fornitori ICT non europei?

Sì, il regolamento DORA ha una portata extraterritoriale. Se un fornitore ICT ha sede al di fuori dell’UE ma fornisce servizi a enti finanziari all’interno dell’UE, è soggetto ai requisiti della DORA. Questo è un aspetto cruciale per i fornitori globali e i loro clienti europei.

Cosa si intende per ‘servizi ICT critici’ secondo la DORA?

I servizi ICT critici sono quelli la cui interruzione potrebbe avere un impatto significativo sulla continuità delle funzioni essenziali di un ente finanziario, sulla sua stabilità finanziaria o sulla fiducia del mercato. La classificazione dipende dalla valutazione del rischio effettuata dall’ente finanziario e dalle autorità di vigilanza.

Quali sono le sanzioni per la non conformità alla DORA?

Le sanzioni specifiche saranno stabilite dalle singole autorità nazionali competenti, ma la DORA prevede che possano essere significative e proporzionate alla gravità della violazione. Oltre alle multe, la non conformità può portare alla rescissione di contratti e a gravi danni reputazionali.

Conclusioni con takeaway operativi

La DORA è una sfida ma anche un’opportunità. Per i fornitori IT, significa elevare significativamente gli standard di sicurezza e resilienza, diventando partner ancora più affidabili per il settore finanziario. Non aspettare il 17 gennaio 2025: la preparazione richiede tempo e risorse. Inizia subito con una gap analysis, mappa le tue dipendenze e rafforza i tuoi processi di ICT Risk Management e incident response. La proattività ti distinguerà nel mercato, garantendo la continuità dei tuoi servizi e la fiducia dei tuoi clienti.

Aggiornato: giugno 2026